2. 固件升级基础
在讨论固件升级安全与性能优化之前，必须先厘清一个基础问题：固件（Firmware）与软件（Software）到底有什么区别？很多工程事故的根源，正是把二者混为一谈——用升级应用软件的方式去升级固件，结果设备变砖。固件是“贴近硬件的软件”，它通常固化在非易失性存储器中，直接管理芯片外设、时钟、电源、存储与启动流程；而应用软件运行在操作系统或运行时之上，依赖固件提供的抽象接口。理解这一层依赖关系，是设计升级策略的起点。
一、固件与软件的本质区别
从工程视角看，固件与软件的差异体现在五个维度：存储介质、运行层级、更新频率、失败后果、依赖关系。固件通常存放在 Flash、EEPROM、ROM 或 OTP 区域，启动时由 BootROM 或 Bootloader 加载；软件则存放在文件系统或应用分区，由操作系统调度。固件更新频率低，但一旦失败，设备可能无法进入系统；软件更新频率高，失败后通常可通过重新安装恢复。
更关键的是依赖方向：软件依赖固件，固件依赖硬件。固件升级可能改变硬件初始化时序、外设寄存器配置、电源管理策略，因此必须与硬件版本严格匹配。软件升级一般不需要关心这些底层细节。下面这张图展示了从硬件到应用的层级关系，以及固件在其中的“承上启下”位置。
二、常见固件类型
不同设备的固件形态差异很大，常见类型包括：
- Bootloader 固件：负责上电自检、加载主固件、进入升级模式。它通常不可在线升级，或只能通过专用工具烧录。
- 主应用固件：包含设备核心功能，如 MCU 主程序、路由器系统镜像、TWS 耳机主控固件。
- 通信模组固件：Wi-Fi、蓝牙、4G/5G、NB-IoT 模组的独立固件，常通过 AT 命令或专用协议升级。
- 安全固件：负责密钥管理、安全启动、可信执行环境，升级需签名校验。
- 外设固件：如电源管理芯片、传感器、触控 IC 的配置固件，通常由主控通过 I2C/SPI 写入。
这些固件可能分布在不同的存储分区，升级顺序和依赖关系必须明确。例如，通信模组固件升级时，主控固件必须保持稳定，否则升级通道会中断。
三、升级方式：本地、OTA 与差分
固件升级方式可归纳为三大类，各有适用边界：
| 升级方式 | 传输通道 | 优点 | 局限 | 典型场景 |
|---|---|---|---|---|
| 本地升级 | USB、UART、SD 卡、JTAG | 稳定、可控、不依赖网络 | 需人工到场，效率低 | 产线烧录、售后维修、工业设备 |
| OTA 升级 | Wi-Fi、蜂窝网、蓝牙 | 远程批量、无需拆机 | 依赖网络，存在中断风险 | 智能家居、车联网、可穿戴 |
| 差分升级 | 任意通道（常配合 OTA） | 包体小、省流量、速度快 | 需版本匹配，算法复杂 | 流量敏感、低带宽、大规模设备 |
差分升级并不是独立通道，而是一种包体生成与还原策略。它通过对比旧版本与新版本固件，生成仅包含差异的补丁包，设备端再通过差分还原算法重建完整固件。常见算法有 bsdiff、hdiffpatch、xdelta 等。下面是一段差分升级包生成与校验的示意命令：
# 生成差分补丁（旧版本 -> 新版本）
hdiffpatch -s old_fw.bin new_fw.bin patch.hdiff
# 设备端还原
hpatch old_fw.bin patch.hdiff restored_fw.bin
# 校验还原结果
sha256sum restored_fw.bin
# 对比 new_fw.bin 的 SHA256，一致才允许写入四、典型应用场景与误区复盘
不同场景对升级方式的选择差异明显：
- 消费电子：以 OTA 为主，强调用户体验和断点续传，差分升级用于降低流量成本。
- 工业控制：以本地升级为主，强调确定性和可追溯，OTA 仅用于受控网络。
- 汽车电子：OTA 与本地诊断口结合，必须满足功能安全与法规要求，升级过程不能影响行车。
- 医疗设备：升级需严格验证，通常要求双分区备份和回滚机制。
常见误区二：差分升级不校验旧版本。旧版本不匹配时强行还原，会生成错误固件并写入，导致设备无法启动。
常见误区三：忽略升级顺序。多固件设备中，先升级通信模组再升级主控，可能因协议不兼容而中断升级通道。
因此，固件升级方案设计的第一步，不是选 OTA 还是本地，而是先回答三个问题：设备有哪些固件？它们之间是什么依赖关系？升级失败后如何恢复？只有把这三件事画清楚，后续的安全策略与性能优化才有稳固的基础。